本提案將傳統 AL-Touch Solutions 極致的本地物理防禦隔離，與 Veeam Data Cloud 現代雲端不可變性融合。
保留了本地端「去閘道、平時斷電」的極致防滲透優勢，同時將異地端升級為「數據不離港、具備 WORM 鎖定與即時還原能力」的現代化雲端保險箱。這套「物理隔離 + 雲端不可變性」的雙重縱深防禦架構，落質了 3-2-1-1-0 備份黃金法則，為政府項目提供了高需求安全合規保障。
合規數據備份方案
AL-Touch + VEEAM + GDMME
公營與政府
項目數據安全實踐
如何運用 Veeam 實現 3-2-1-1-0 備份黃金法則與數據本地化合規
「雙雲/雙中心」的異地多活備份。即使其中一個異地雲端中心發生突發性中斷，項目依然擁有另一個完全獨立的 S3 物件鎖定儲存庫作為復原底線，這對政府項目的持續營運合規性（Business Continuity）提供了高級別的保證。
面臨的挑戰與痛點
(The Challenges)
在承接政府或公營機構的項目時，資訊安全與合規性（Compliance）面臨以下三大嚴苛限制：
嚴格的數據主權與本地化限制 (Data Resourcing & Sovereignty)
所有涉及公營機構、公民隱私與政府合規之數據（包含生產資料與歷史備份），全程其儲存實體位置與網路傳輸路徑均必須 100% 留在香港境內，法律上絕不允許跨境傳輸至境外雲端，避免觸犯數據出境之法律風險。
零信任架構下的抗勒索軟體能力 (Anti-Ransomware in Zero-Trust)
傳統單純依靠網路防火牆的防禦已不足以應對現代勒索軟體（Ransomware）的潛伏與滲透。政府項目要求備份系統必須具備「縱深防禦」與「防篡改（WORM/Object Lock）」能力，確保即便是內部高權限管理員帳號遭竊（Insider Threat），備份數據也絕對無法被惡意刪除。
營運持續性與災難恢復指標 (RTO & RPO Compliance)
在遭遇極端網絡攻擊或實體機房損毀等災難情境時，系統必須能提供分鐘級、甚至秒級的歷史還原點，並具備異地整機即時拉起還原（Instant Recovery）的能力，以確保政府關鍵商務或公共服務的連續性，避免造成社會運作中斷。
💡
解決方案：AL-Touch + Veeam 「3-2-1-1-0」
雙軌異地合規架構 (The Solution)
本案例透過 Veeam Backup & Replication 平台，落地了國際高規格的資安防護架構：
[ 生產線資料數據 ]
│
├──► 1. 本地 NAS 備份 (快速回復) ──────► 【2 種不同媒介】
│
├──► 2. 異地 1：Tier 3+ 機房 S3 Object Lock ──► 【1 份本地不可變性】
│
└──► 3. 異地 2：Veeam Data Cloud Vault (HK) ──► 【1 份雲端離線/數據不離港】
🔍
3-2-1-1-0 法則逐項解析：
「3」
三份數據：
包含原始生產數據，總共擁有 3 份歷史紀錄。
「2」
兩種媒介：
數據分別儲存在本地傳統儲存體（NAS），以及高可靠度的物件儲存體（S3 Object Storage）兩種完全不同的技術架構上，避免單一硬體技術出錯。
「1」
兩份異地存儲（雙軌異地）（2s Offsite）：
透過 Veeam Backup & Replication 備份複製任務，將數據傳送到異地雲端。
分散地緣政治與實體災難風險，將數據同時複製到兩個不同的異地節點。
「1」
一份不可變性（Immutable/離線）：
本架構實現了「雙重不可變性（Double Immutability）」：
異地 1
使用 Tier 3+ 機房的 S3 Object Lock API 邏輯防護。
異地 2
使用 Veeam Cloud Vault 的 WORM 核心技術。兩者皆強制鎖定，在此期間不論外部駭客或內部最高權限管理員，均絕對無法刪除或修改任何一個備份檔案。
本地端：
使用 Tier 3+ 機房的 S3 Object Lock
雲端端：
使用 Veeam Cloud Vault 的 WORM 技術
不論外部駭客或內部高權限管理員，在保留期內都絕對無法刪除或修改任何一個備份字節
「0」
零錯誤驗證：
Veeam 本地與雲端皆啟用 AES-256 端到端加密驗證，確保上雲數據完整無缺，還原 0 錯誤
香港中小企網安防禦方案，強化數據安全防護
香港中小企面臨之網絡威脅持續升溫，參考 HKCERT 公開統計數據，本港網絡安全事故逐年攀升，整體升幅約 27%，當中網絡釣魚攻擊發生率最高、增長最為明顯，不少企業因機密數據外洩、勒索軟件入侵，直接影響日常營運與業務運作。
坊間不少網安廠商多以銷售硬件設備為主，僅提供一次性安裝部署，後續維護與風險防禦規劃較為薄弱。AL-Touch 專業網絡安全工程師團隊，具備豐富網安應急處理實戰經驗，依照國際主流主動防禦（Cyber Resilience）思維，為香港本地企業訂製專屬數據備份防禦方案。
本方案不流於表面部署，整體架構遵循零信任（Zero Trust）設計理念，貼合香港企業實際辦公環境，從實戰攻防視角建構防禦體系，協助本地中小企有效減輕各類常見網絡威脅帶來之影響，為企業搭建穩固可靠的數據安全防護體系，亦是香港中小企易於落地執行之高規格數據安全解決方案。
AL-Touch 數據備份四大核心防禦思路｜強化防護架構，縮減網絡風險
面對現今 AI 衍生之精密化網絡攻擊，傳統單一備份模式防禦能力不足。
AL-Touch 整合四項實戰導向防禦配置，所有部署邏輯皆針對香港中小企常見網絡安全隱患規劃，由網絡區域分隔至異地離線備份，搭建多層次立體防護架構，有效提升企業整體數據安全防禦等級。
策略一
File Server 網絡區域分隔｜減低黑客內網橫向滲透機率
【AL-Touch 實施方案】：
將檔案伺服器 (File Server) 透過 SFP+ 高速連接埠接入網絡，獨立劃分不同於辦公內網之專屬 IP 區段與 VLAN 網域；一般辦公電腦統一使用 172.16.17.0/24 網段，企業核心 File Server 獨立配置 10.10.10.X/29 專用網段，兩區段之間透過 GDMME G8+ 安全網關完成隔離管控。
【切合香港企業營運場景之優勢】：
香港中小企辦公空間普遍較為緊湊，網絡設備集中佈置易造成全域網絡互通，一旦員工日常使用電腦遭惡意程式入侵受控，同一網域內之企業伺服器極易遭到掃描探測與攻擊。透過獨立網段分隔設計，所有往來數據封包均須經 Zenarmor AI 第七層應用行為檢測，搭配 IDS/IPS 漏洞攔截機制，有效減少黑客繞過防火牆入侵內網核心伺服器之路徑，防禦日常高發之內網滲透風險。
- - - - - - - - - - - - - - - - - -
策略二
NAS 隱藏式安全配置｜關閉預設閘道 + 專屬 IP 點對點連線，提升設備隱密性
【AL-Touch 實施方案】：
企業備份專用 NAS 儲存設備不設定網路閘道器，僅採用專屬固定 IP 進行點對點直連通訊，例：10.25.36.36/32 對接 10.25.36.37/32，與辦公區 172.16.17.0/24 常規辦公網域完全隔離，無任何互通路由機制。
【核心安全效益】：
此配置為 AL-Touch 針對香港中小企數據保護量身規劃之實用部署模式；未設定閘道器代表 NAS 設備從網絡層面無法對外連接互聯網，即便日後出現大型 NAS 系統公開安全漏洞，亦能大幅提升外部勢力透過公網探測及入侵的難度。搭配專屬獨立 IP 直連模式，可大幅降低辦公終端自動掃描、SMB 協議攻擊偵測到備份儲存設備之機率，從網絡源頭強化內部備份資料保護等級。
- - - - - - - - - - - - - - - - - -
策略三
NAS 定時供電運作｜實體斷離隔離機制，鞏固離線備份安全
【AL-Touch 實施方案】：
備份專用 NAS 設備僅於預設排程備份時段自動通電啟動執行備份作業，其餘閒置時段全數斷電停機，落實標準實體隔離（Air-Gapped）部署模式，契合本地實戰導向網絡安全防禦需求。
【部署重要性】：
香港眾多中小企過往曾發生備份設備長期連網運作，遭入侵後備份檔案遭惡意竄改、刪除之安全事故。採用定時通電機制，避免備份設備長期處於聯網暴露狀態；就算企業核心檔案伺服器於非備份時段不幸遭到入侵受控，因 NAS 設備處於斷電離線狀態，入侵人員亦無法接觸、竄改歷史完備份資料，強化底層數據保護能力。
- - - - - - - - - - - - - - - - - -
策略四
異地加密雲端備份｜VPN 加密反向 FTPS 數據拉取，守護異地備份資料
【AL-Touch 實施方案】：
將企業核心數據異地備份寄存至 AL-Touch 香港本地數據中心伺服器，全程採用 VPN 加密通道搭配反向 FTPS 傳輸模式，由 AL-Touch 香港數據中心專屬安全主機主動建立加密連線，定向提取企業合法備份數據。
【核心安全優勢】：
傳統雲端備份多由企業內部主動對外傳輸檔案，一旦內部終端遭入侵，不法人士可憑藉儲存連線憑證刪除、竄改雲端備份檔案。改採外部主動拉取數據之模式，企業本地網絡不持有異地雲端備份伺服器之刪除與修改權限，縱使企業內部網絡遭遇大範圍勒索軟件攻擊全面受控，亦能極大提升異地備份檔案遭惡意刪除之難度，完善全域數據備份保障機制。
- - - - - - - - - - - - - - - - - -
防禦效果與核心優勢｜符合香港企業實際需求
AL-Touch 數據備份防禦體系，整合本機伺服器 Shadow Copy 快照保護、外接固態硬碟離線備份、定時通電萬兆 NAS 實體隔離備份，搭配 AL-Touch 香港數據中心加密反向異地備份，四層防禦環環相扣。
整套部署架構參照業界成熟數據保護執行準則，嚴格遵循國際通用3-2-1-1-0 備份黃金守則，能夠有效提升香港中小企遭遇安全事故後之數據復原速度與資料完整度。
AL-Touch Multilayer Security Architecture
數據安全備份多層次拓撲架構圖
整合網絡區域隔離、隱密化儲存部署與加密反向數據傳輸通道
以零信任設計思維為基礎，針對香港中小企常見網絡安全隱患建構實戰型多層防禦架構
「AL-Touch 2026 防禦閉環結合了『前端虛擬化隔離』與『後端物理級斷網』。我們在 ZONE A 採用 Hyper-V 進行系統級環境隔離；並在 ZONE C 引入物理斷電技術，實現真正的 Air-Gapped 物理隔離。」
利用 Hyper-V 與 vGDMME 進行虛擬化環境鎖定，結合 OpenVPN 雙向憑證與手機 2FA 認證，保障員工終端零信任存取。
實施「No Gateway」無網關與本地域名內循環解析，物理隔離雙網卡，大幅提升防禦外部威脅偵測的能力，阻斷常規路由探測與定位途徑。
ZONE C (本地備份端)
策略性引入 Air-Gapped 智能電力模組，每日自動切斷 NAS 物理電源，實現 23 小時物理斷網，有效對抗網絡勒索軟件。
ZONE D (雲端終點)
採用反向 Pull 與唯讀隔離技術，搭配多租戶安全固件，即使本地系統遭遇極端入侵，雲端異地備份依然具備高度獨立與安全的還原能力。
AL-Touch 2026 金融級物理防禦閉環：您數據的最後一道防線
這種「機器沒電，網卡不通電」的設計，旨在從源頭切斷黑客的遠端遙控鏈接。再結合雲端底層的唯讀鎖死機制，即使面對極端的系統被竊，也能大幅提升數據的安全性與完整性。選擇 AL-Touch，不僅是購買設備，更是為數據打造一座固若金湯的「數位堡壘」。
(使用vGDMME (VM-GDMME)
並使用OpenVPN加上 【2FA 雙重認證（2-Factor Authentication）】 辦公電腦才能連接到Server)經 SFP+ 高速端口 ➔ 劃分獨立網段 ➔ 強制 Layer 7 行為審查 + IDS/IPS 漏洞過濾
無 Gateway 設定，全網零路由。特殊直連段（如 10.25.36.36/32 ⇄ 10.25.36.37/32）並經過vGDMME 防火牆加密後 (OpenVPN) 並同時驗證 MAC 地址，難以被外部威脅探測與入侵。 ⚡ 策略三：NAS 定時通電 (Air-Gapped)
硬體層面物理級隔離，大幅降低黑客在非備份時間入侵、篡改歷史備份的機率。
改變傳統企業主動上傳憑證漏洞 ➔ 數據中心安全主機主動發起「反向拉取（Pull）」任務 (備份也加上定期快照及加密)
要求傳輸必須啟用「底層快照差分同步（Block-level Snapshot Replication）」。
首日足額備份後，日常的每日增量備份，從冷端通電、握手建連到傳輸完畢物理斷電，全過程必須控制在 15-30 分鐘內完成，不得進行整機重複傳輸，確保不因物理斷電而減低日常運作速度。
© 2026 AL-Touch Solutions Limited. All Rights Reserved. 版權所有 翻印必究
本方案包含 AL-Touch Solutions Limited 的專利申請技術，未經授權不得使用
本建議書中所提及的 Veeam、Veeam Backup & Replication、Veeam Data Cloud 以及 Veeam 的標誌，均為 Veeam Software Group 及其關聯公司在美國和其他國家的註冊商標或商標。
本建議書中所提及的 Microsoft、Azure、Microsoft Entra 均為微軟公司（Microsoft Corporation）的註冊商標。
本建議書中所提及的其他所有公司名稱、品牌、標誌或產品名稱，均為其各自所有者的商標或註冊商標。
本文件內引用的第三方商標僅用於技術方案與客觀架構之說明，並不代表該商標所有權人對本方案或本公司之產品有任何形式的擔保或直接代言。
